「FortiGate運用で押さえておきたい3つのポイント ― Webフィルタ・Inspection・Conserve Mode 」
今回はFortiGateと呼ばれるセキュリティ機器に関してさらにお話ししていこうかと思います。
FortiGateって何ができるの?
いわゆるファイアウォールと呼ばれるセキュリティ機器でありいわゆるL2/L3スイッチが持つ基本的な機能も利用できるものとなっています。
ただそのあたりのL2,L3の機能に関しては今回は割愛とします。
今回のお話
機能について説明してもいいのですがそれではただの販促になってしまいそうなので実際に使ってて初期のころ含め利用に苦戦した事柄を今回はお話ししていければいいかなと思います。
Webフィルタ(などでの宛先制御)
FortiGateには宛先URLを許可する機能がいくつかあります。
開け方を間違えてしまうと通らなかったり不要なものが通ったりしてしまいます。
使い始めた当初は動きの差がわからず苦戦しました。
・ポリシーにFQDNで直接宛先を書く
シンプルにドメインやIPだけで制御する場合はこれ。
ただこの場合はドメイン単位の制御なのでパスが確認されません。
・Webフィルタにて許可する。
ポリシーにフィルタを反映させそのフィルタで制御する方式。
名前の通りフィルタのためにある機能なので設定できるならこれが一番丸い。
上のFQDN制御とは違いパスも指定できるのでより精密な制御ができる。
ただdeep-Inspectionなりで復号化していないとドメインしか見れないためパスを書いても無意味。
・Webレーティングをオーバーライドにて書き換えホワイトリストに追加する。(要ライセンス)
FortiGateは基本的にドメインを内部でレーティングしているのですがローカルドメインなどであると未登録扱いで通信ができなかったりしてしまいます。
そういったときにはジャンルをつけてあげるかホワイトリストで通してあげましょう。
ただブロックされているものにはブロックされている理由があったりするので確認は必須。
なお、オーバーライドを使うには別途ライセンスが必要です。
大体こんな感じです。
初歩的な事柄ではありますが使い分けしなければならない環境だと意外と大事。
Inspectionのお話
FortiGateでは通信のInspection(復号化)ができます。
このInspectionを理解すると通信に関しどの経路を通すのが正解なのかが見えてくるのです。
Inspectionって何?って話なのですがまぁざっくりいうと通信の中身を見る機能。
FortiGateにデフォルトで備わっている機能としては
・Certificate Inspection
・deep-Inspection
の二つ。
(他も組み込んだ証明書を使用したりしてカスタムしたものを作れたりしますが)
何が違うの?というと
・Certificate Inspection⇒さらっと表面だけ復号化して証明書情報からドメインだけ見るよー
・deep-Inspection⇒割とちゃんと復号化して通信のパスとかまで見るよー
こんな感じ。
なら全部deep-Inspectionでいいんじゃないの?と思うかもしれませんがこの機能、メモリをそれなりに消費します。あまり多くのポリシーに設定するわけにもいきません。
なので必要な通信だけdeep-Inspectionで詳細を見るような通信経路づくりをする必要があるのです。
conserve modeのお話
FortiGateにはConserve Mode というメモリ節約用のモードがあります。(メモリ使用率88%超が目安)
このモードに入ってしまうと通信が大幅に制限されFortiGateが全然使い物にならなくなってしまいます。
メモリの使い過ぎによって発生するのですがFortiGateはメモリリークなどのバグが発生することが結構あり、またまだあまり最適化されてないようなマイナーバージョン初期のOSなどはそもそものメモリ使用率が高めだったりと切っても切り離せない問題となっています。
基本的にはメモリを使うような機能の見直し、バグが解消されメモリ使用量も最適化されているマイナーバージョン後期のOSにバージョンアップするしかないのだがそれでも入ってしまう場合はそもそも機器が負荷に耐えられていない場合があるので機器交換するしかなかったりする。
とりあえず発生すると心臓に悪い。のでこれが出ないようなスペックの機器選定や負荷が高まらない環境構築をこころがけよう。
まとめ
今回はFortiGateを使っていて気にしなければいけないなと私が思う箇所を抜粋しました。
もちろん構築、運用していくうえで気にしなければいけない箇所はもっとたくさんあるのですがちょっとだけ。
FortiGateを触る誰かの助けになればいいなと思います。
